Apache运行PHP脚本及执行systemctl status postfix遇SELinux权限问题求助

我完全懂你的想法——直接禁用SELinux确实能快速绕开问题，但平白丢了一层安全防护实在不值。咱们一步步来针对性配置，既能保住SELinux的强制模式，又能让Apache实现你要的所有功能。

第一步：精准捕获SELinux拒绝日志 #

先触发一次被拒绝的操作（比如通过你的PHP脚本执行/usr/bin/systemctl status postfix），然后捕获最新的审计日志生成初始规则文件：

# 清空旧审计日志（可选，让日志更聚焦当前问题）
echo "" > /var/log/audit/audit.log
# 触发一次被拒绝的操作（比如访问对应PHP页面）
# 生成初始规则文件
ausearch -m avc -ts recent | audit2allow -m my_httpd_postfix > my_httpd_postfix.te

第二步：完善SELinux规则文件 #

自动生成的规则往往不够全面，咱们手动编辑my_httpd_postfix.te，补充执行systemctl查询postfix状态必需的权限：

module my_httpd_postfix 1.0;

require {
    type httpd_t;
    type systemctl_exec_t;
    type systemd_dbus_t;
    type postfix_var_run_t;
    class dbus send_msg;
    class file { execute read entrypoint };
}

# 允许Apache执行systemctl二进制文件
allow httpd_t systemctl_exec_t:file { execute read entrypoint };
# 允许Apache通过dbus和systemd通信（systemctl依赖dbus实现状态查询）
allow httpd_t systemd_dbus_t:dbus send_msg;
# 允许Apache读取postfix的状态文件
allow httpd_t postfix_var_run_t:file read;

第三步：编译并加载SELinux模块 #

规则完善后，编译成可加载的SELinux模块：

# 编译模块
checkmodule -M -m -o my_httpd_postfix.mod my_httpd_postfix.te
# 打包成可安装的pp包
semodule_package -o my_httpd_postfix.pp -m my_httpd_postfix.mod
# 加载模块到SELinux
semodule -i my_httpd_postfix.pp

第四步：确保PHP脚本的SELinux上下文正确 #

如果你的PHP脚本不在默认的/var/www/html目录，或者上下文被修改过，需要恢复正确的SELinux标签：

# 假设你的PHP脚本存放在/var/www/custom目录
semanage fcontext -a -t httpd_sys_script_exec_t "/var/www/custom(/.*)?"
restorecon -Rv /var/www/custom

如果是默认目录，执行restorecon -Rv /var/www/html即可修复可能错乱的上下文。

第五步：验证功能 #

最后刷新SELinux规则并重启Apache：

setenforce 1
systemctl restart httpd

现在再测试Apache执行/usr/bin/systemctl status postfix和运行PHP脚本的功能，应该就能正常工作了。如果还是有问题，重复第一步捕获最新的拒绝日志，看看还有哪些权限没配置，补充到规则里就行——SELinux的拒绝日志会明确告诉你缺什么权限。

内容的提问来源于stack exchange，提问作者awreneau